[論文レビュー] Revisiting Anomaly Detection in ICS: Aimed at Segregation of Attacks and Faults

Chuadhry Mujeeb Ahmed, Jay Prakash+1 more|arXiv (Cornell University)|Apr 25, 2020

Smart Grid Security and Resilience参考文献 18被引用数 4

ひとこと要約

本論文は、マルチレイヤーのデータ分析、デジタルツイン、攻撃シグネเจอチャー、行動モデリングを用いて、産業制御システム（ICS）におけるサイバー攻撃とシステム障害を区別するフレームワークを提案する。検出遅延の違い、故障の時定数、モード遷移、相関の非対称性といった特徴を活用することで、異常の正確な分離が可能となり、誤報の低減とクリティカルインフラにおける応答の正確性の向上が実現される。

ABSTRACT

In an Industrial Control System (ICS), its complex network of sensors, actuators and controllers have raised security concerns for critical infrastructures and industrial production units. This opinion paper strives to initiate discussion on the design algorithms which can segregate attacks from faults. Most of the proposed anomaly detection mechanisms are not able to differentiate between an attack and an anomaly due to a fault. We argue on the need of solving this important problem form our experiences in CPS security research. First, we motivate using analysis of studies and interviews though economical and psychological aspects. Then main challenges are highlighted. Further, we propose multiple directions of approach with suitable reasoning and examples from ICS systems.

研究の動機と目的

• 攻撃と故障が区別されないため、不適切な対応が生じるICS異常検出における重要なギャップを埋める。
• 故障を攻撃と誤認する、あるいは逆に攻撃を故障と誤認する場合の経済的・心理的影響を強調する。
• 標的的で効率的かつ安全なインシデント対応を可能にするため、堅牢な区別手法の必要性を説得する。
• システムの挙動、タイミング、データ整合性に基づいて、攻撃と故障を分離する複数の技術的アプローチを提案する。
• 実世界のICS環境に適用可能な実用的で展開可能なソリューションの開発を促進する研究連携を刺激する。

提案手法

• ネットワーク層のトラフィックとプロセス層の物理変数の両方のデータを統合し、文脈を考慮した異常検出を実現する。
• デジタルツインまたはバーチャルセンサーを基準モデルとして活用し、改ざんを検出する。なぜなら、仮想システムは物理的に故障しないからである。
• 署名ベースの検出を適用して既知の攻撃パターンを特定するが、ゼロデイ攻撃の検出には限界があることを認識する。
• デバイス間のモード遷移を分析する：攻撃はしばしば同期的なモード遷移を引き起こすが、故障は通常ランダムで孤立している。
• シミュレートされた故障データや歴史的故障データを用いて故障挙動をモデリングし、攻撃パターンとは区別可能なプロファイルを構築する。
• 因果関係と相関の非対称性を活用する——例として、故障したセンサーは下流デバイスに影響を与えるが、故障したアクチュエーターは上流センサーに影響を与えない——これにより、センサー情報の改ざんを検出可能にする。

実験結果

リサーチクエスチョン

• RQ1 ICSにおける異常検出システムは、どのようにしてサイバー攻撃とシステム障害を信頼性高く区別できるか？
• RQ2 攻撃と故障の間には、どのような行動的・時間的・構造的差異が存在し、それらを分離に活用できるか？
• RQ3 検出遅延と被害発生までの時間は、攻撃と故障のシナリオでどのように異なるか？また、これらは区別に使える特徴として利用可能か？
• RQ4 デジタルツインやバーチャルセンサーは、リアルタイムでの悪意ある改ざん検出にどの程度基準として機能できるか？
• RQ5 故障の時定数とモード遷移パターンは、ランダムな故障と協調的なサイバー攻撃を区別するために利用可能か？

主な発見

• 既存の大多数の異常検出技術は、攻撃と故障を区別できず、不要な停止などの不適切なシステム対応を引き起こしている。
• 19名のICS専門家およびオペレーターとのインタビューにより、現在のシステムには堅牢な区別機能が欠如しており、誤分類が経済的損失と心理的ストレスを引き起こすことが確認された。
• 故障は通常、急激でランダムな変化を示し、短い時定数を持つが、攻撃は長期間にわたる持続性と、複数デバイスにわたる協調的行動を示すことが多い。
• 検出遅延の違いから、特に持続的攻撃シナリオでは、故障に類似したインジェクションに対して攻撃が遅れて検出される傾向があることが示唆された。
• 相関の非対称性——例として、センサーの故障が下流デバイスに影響を与えるが、逆は成り立たない——を活用することで、センサー情報の改ざんを検出可能となる。
• 冗長センサーは、すべてが同時に改ざんされていない限り、故障および攻撃の分離を向上させることができ、実用的な検出レイヤーを提供する。